mybatis #和$ 的区别

注意,使用#符号和$符号的不同:

// This example creates a prepared statement, something like select * from teacher where name = ?;
@Select("Select * from teacher where name = #{name}")
Teacher selectTeachForGivenName(@Param("name") String name);

// This example creates n inlined statement, something like select * from teacher where name = 'someName';
@Select("Select * from teacher where name = '${name}'")
Teacher selectTeachForGivenName(@Param("name") String name);


转载请标明出处,转载于:https://blog.youkuaiyun.com/gebitan505/article/details/54929287

### MyBatis中`#`与`$`的区别 #### 1. 基本概念 在 MyBatis 中,`#{}` `${}` 是用于动态替换 SQL 参数的两种不同语法形式。两者的实现机制适用场景有所不同。 - `#{}` 表达式会被 MyBatis 转换为 JDBC 的 PreparedStatement 形式的占位符 (`?`) 并通过预编译的方式绑定参数值[^3]。 - `${}` 则是简单的字符串替换操作,直接将变量值插入到 SQL 字符串中[^4]。 --- #### 2. 工作原理对比 ##### (1) `#{}` 预编译方式 当使用 `#{}` 时,MyBatis 会将其转换为 JDBC 的 PreparedStatement,并调用其 `setXXX()` 方法来设置参数值。这种机制能够有效防止 SQL 注入攻击,因为它确保了参数值不会被解析为 SQL 的一部分[^3]。 示例代码如下: ```sql <select id="getUserById" parameterType="int" resultType="User"> SELECT * FROM users WHERE id = #{userId} </select> ``` 在此例子中,`#{userId}` 将被替换成一个问号 (`?`),最终生成的 SQL 如下: ```sql SELECT * FROM users WHERE id = ? ``` 随后,MyBatis 使用 `PreparedStatement.setXXX()` 设置实际参数值。 --- ##### (2) `${}` 字符串替换方式 `${}` 的作用是对传入的参数进行简单替换,不涉及任何预编译或安全性检查。因此,在某些情况下可能会导致 SQL 注入风险[^4]。 示例代码如下: ```sql <select id="getUsersByTable" resultType="User"> SELECT * FROM ${tableName} WHERE status = &#39;active&#39; </select> ``` 如果 `tableName` 的值为 `"users"`,则最终生成的 SQL 为: ```sql SELECT * FROM users WHERE status = &#39;active&#39; ``` 但如果 `tableName` 来自外部输入且未经过验证,则可能导致恶意注入行为。 --- #### 3. 安全性比较 由于 `#{}` 使用的是预编译机制,因此可以很好地防范 SQL 注入问题;而 `${}` 只是一个单纯的字符串拼接工具,无法提供类似的保护措施。所以,在涉及到用户输入或其他不可信任的数据源时,应优先考虑使用 `#{}`。 --- #### 4. 应用场景分析 | 特性 | `#{}` | `${}` | |---------------------|------------------------------------------------------------------------------------------|---------------------------------------------------------------------------------------| | **工作模式** | 预编译 SQL | 简单字符串替换 | | **安全性** | 较高(能有效预防 SQL 注入) | 较低(容易受到 SQL 注入威胁) | | **适用范围** | 大多数常规查询条件字段,如数值、字符串等 | 动态表名、列名或者需要嵌套复杂表达式的场合 | 具体来说: - 如果只是普通的查询条件(比如 ID 或者名称),推荐采用 `#{}`; - 当遇到必须手动指定表名或者其他元数据的情况时才适合运用 `${}`。 --- ### 总结表格 | 对比项 | `#{}` | `${}` | |--------------------|-----------------------------------------------------------------------------------------|--------------------------------------------------------------------------------------| | 替换时机 | 执行 SQL 前由 MyBatis 自动完成 | 解析阶段即刻发生 | | 是否支持预编译 | 支持 | 不支持 | | 数据类型适配 | 自动匹配 | 需要显式声明 | | SQL 注入防护能力 | 强 | 弱 | | 推荐使用的场景 | 普通参数传递 | 动态修改 SQL 结构的部分,例如表名/列名 | ---
评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值